Rapor yazımı ve hukuki çerçeve

Rapor, analizin tek kalıcı ürünüdür. Kimse senin terminal geçmişini okumaz. Yönetim kararını, hukuk ekibi itirazını, teknik ekip düzeltmesini rapordan çıkarır.

Mahkemeye giden bir dosyada ise rapor, aylar sonra karşı tarafın uzmanının satır satır sorgulayacağı belgedir. NIST SP 800-86, adli sürecin son adımı olan raporlamada kullanılan yöntem ve araçların açıklanmasını, sonucun okura uygun dille yazılmasını önerir. Bu derste Altay Kargo olayının raporunu kuracak, sonra raporun hangi noktada hukuki sınıra dayandığını göreceksin.

Raporun okuru tek değildir. Yönetim etkiyi, maliyeti ve vereceği kararı sorar. Teknik ekip göstergeleri ve düzeltmeyi arar.

Hukuk ekibi usulü, yetkiyi ve delil zincirini denetler. İskelet bu üç okura göre kurulur ve her okur aradığını kendi bölümünde bulur. Yönetici özeti en başa gelir.

Okurların çoğu yalnız o bölümü okur. Ham çıktılar ekte durur, böylece gövde okunur kalır. Aynı olaydan birden çok çıktı üretmek de doğaldır: rapor, gösterge listesi ve düzeltme planı. Üçünü tek belgeye sıkıştırmak hepsini zayıflatır.

Bölüm                          Okur              İçerik
1 Yönetici özeti               yönetim           ne oldu, etki, ne yapıldı, ne yapılacak (1 sayfa)
2 Kapsam ve deliller           hukuk, teknik     görev tanımı, yetki belgesi, imaj ve özet listesi
3 Yöntem ve araçlar            teknik, hukuk     araç adı ve sürümü, yöntem, sınırlamalar
4 Bulgular ve zaman çizelgesi  teknik            kaynaklı bulgu cümleleri, ana çizelge
5 Sonuç ve kök neden           herkes            zincir, kök neden, kesinlik düzeyi
6 Öneriler                     yönetim, teknik   sahipli, tarihli, doğrulanabilir maddeler
Ekler                          teknik, hukuk     ham çıktılar, tam çizelge, delil zinciri formu

Yönetici özeti teknik terim kullanmaz ve bir sayfayı geçmez. Dört soruya cevap verir: ne oldu, etkisi ne, ne yapıldı, ne yapılacak. Rakam verir ama abartmaz. Belirsizliği gizlemez, sade dille söyler.

Özeti en son yazarsın, çünkü bulgular netleşmeden özetlenecek bir şey yoktur. Basit bir sınama da var: özeti teknik olmayan birine okut ve olayı sana geri anlatmasını iste. Anlatamıyorsa elindeki metin özet değil, gövdenin kısaltılmış hâlidir.

Özeti oku ve dört soruyu ara. İlk iki cümle ne olduğunu, sonraki üç cümle etkiyi anlatır. Etki bir aralıkla verilir ve bilinmeyen kısım açıkça söylenir. Ardından gelen cümle ne yapıldığını, son üç cümle kök nedeni ve ne yapılacağını söyler.

Özette ATT&CK numarası, süreç adı ya da IP adresi yok; bunlar gövdede durur. Kök neden ise teknik olmayan bir dille, ama düzeltilebilir biçimde yazılmış. Okur özeti bitirdiğinde hangi kararı vereceğini bilir.

Bulgu cümlesi üç parça taşır: ölçülen veri, kaynağı ve zamanı. Yorum ayrı cümlede ve ayrı başlıkta durur. $MFT kaydı 812, update.exe'nin 03:07:11'de oluştuğunu gösterir cümlesi üç parçanın hepsini taşır.

Kötü bulgu cümleleri genelde dört hatadan birini taşır: kaynak yoktur, zaman yoktur, ölçüm niyete çevrilmiştir ya da kesinlik abartılmıştır. Aşağıdaki çiftler aynı bilginin kötü ve iyi yazımını gösterir. Her çiftte iyi cümle, okurun ham veriye dönüp aynı şeyi görebileceği kadar somuttur.

KÖTÜ  Saldırgan sisteme güncelleme dosyası yükledi.
İYİ   $MFT kaydı 812, update.exe'nin 14.09.2026 03:07:11'de Temp klasöründe oluştuğunu gösterir.

KÖTÜ  Kullanıcı zararlı belgeyi bilerek açtı.
İYİ   fatura_eylul.docm.lnk kısayolu, belgenin 03:05:48'de mkaya oturumunda açıldığını gösterir.

KÖTÜ  Saldırgan kesinlikle verileri çaldı.
İYİ   Zeek conn.log, 49871 portundan 203.0.113.19'a 214097651 bayt gönderildiğini gösterir.

KÖTÜ  Günlükler gece bir ara silindi.
İYİ   Security.evtx'teki 1102 olayı, günlüğün 03:31:07'de silindiğini gösterir.

KÖTÜ  dc01 de ele geçirildi.
İYİ   Velociraptor taraması dc01'de WinUpdateSvc hizmet kaydını buldu, svcupd.exe dosyasını bulmadı.

Çiftleri oku. İlk kötü cümle kaynak ve zaman taşımaz, saldırganı da kanıtsız bir özne yapar. İkincisi kullanıcının niyetini yazar, oysa analist niyeti ölçemez.

Üçüncüsü kesinliği abartır ve çalmak gibi hukuki bir dil kullanır. İyi hâli yalnız ölçümü verir; verinin ne olduğu ayrı bir yorumdur. Dördüncüsündeki gece bir ara ifadesi zamanı belirsiz bırakır.

Beşincisi tek bir bulguyu genelleştirir. İyi hâli neyin bulunduğunu ve neyin bulunmadığını birlikte söyler. Bulunmayanı yazmak raporu zayıflatmaz, güçlendirir.

Zamanı her zaman tarih, saat ve dilimle yazarsın. 14.09.2026 03:07:11 (UTC+3) biçimi yanlış okunamaz. Saniyeyi atlamazsın, çünkü saniyelerle ayrılan adımlarda dakika yetmez.

Raporun başında bütün saatlerin hangi dilimde olduğunu bir kez söyler, tablolarda dilimi sütun başlığına yazarsın. Kaynağı ise dosya adı ve kayıt numarasıyla verirsin: $MFT kaydı 812 ya da Security.evtx kayıt numarası 88655 gibi. Okur bu ikiliyle ham veriye saniyeler içinde döner.

Her bulgu aynı ağırlıkta değildir. Kesinlik düzeyini yazmazsan rapor olduğundan güçlü görünür ve sorgulamada zayıflar. Dört basamaklı bir ölçek işini görür. Doğrulanmış: iki bağımsız kaynak aynı şeyi söyler, örneğin pcap ve $MFT update.exe için aynı dakikayı verir.

Güçlü işaret: tek ama güvenilir bir kaynak vardır, örneğin Sysmon'un lsass erişim kaydı. Olası: dolaylı kanıt vardır, örneğin dc01'deki hizmet kaydı yanal hareketi düşündürür. Belirsiz: kanıt iki yöne de yorumlanabilir. Ölçeği raporun başında tanımlar, her bulgunun yanına yazarsın.

İyi bir raporda başka bir analist aynı imajdan aynı sonuca ulaşır. Bunun yolu ekleri düzenli tutmaktır. Her ekin bir numarası, içeriği, üreten aracı ve sürümü, tam komutu ve SHA-256 özeti olur.

Araç adını yazıp sürümünü yazmamak sık bir eksiktir. Volatility'nin iki ana sürümü aynı dökümden farklı sonuç verebilir, plaso'nun iki sürümü farklı sayıda olay üretebilir. Ek dizini, ekler bölümünün ilk sayfasında durur.

Ek  İçerik                     Araç ve sürüm            Komut (kısaltılmış)                             SHA-256 (ilk 16)
E1  fin-pc12.dd disk imajı     dcfldd 1.9.3             dcfldd if=/dev/sdb of=fin-pc12.dd hash=sha256   9f2c1a7b3d5e08c4
E2  Süper çizelge deposu       plaso 20260720           log2timeline.py --parsers '...' ...             51d0aa7c3e6b9f20
E3  Olay penceresi çizelgesi   plaso 20260720           psort.py -o dynamic ... "date > DATETIME(...)"   e07f3b19c84d2a65
E4  Süreç ağacı                Volatility 3 2.28.0      vol -f fin-pc12.raw windows.pstree              3b8e1f0d7a26c491
E5  EVTX alarm çizelgesi       Hayabusa 4.1.0           hayabusa dfir-timeline -d evtx/ -w -m high      a19c2e7f05b3d846
E6  Delil zinciri formu        -                        -                                               77f0c2a91e4b8d35

Dizini satır satır oku. E1 özgün imajdır; diğer bütün ekler ondan türer ve onun özetine bağlanır. E2 ve E3 aynı plaso sürümüyle üretildi, bu yüzden olay sayıları tutarlıdır. E3'ün komutunda süzgeç tam yazılır, çünkü pencereyi o belirler.

E4'te araç adının yanında sürüm durur. E6 delil zinciri formudur ve imajın kimden kime, hangi saatte geçtiğini gösterir. Ek dosyalarını teslimden sonra değiştirmezsin. Değişiklik gerekirse yeni sürüm üretir ve sürüm tablosuna yazarsın.

Yöntem bölümünün unutulan parçası sınırlamalardır. Neyi inceleyemediğini de yazarsın: Pagefile.sys bozuktu ve okunamadı, Security günlüğü 03:31 öncesi için yerelde yoktu, pcap kaydı yalnız bir saati kapsıyordu. Sınırlama, bir bulgunun neden eksik olabileceğini okura söyler.

Yazmadığın bir sınırlamayı karşı tarafın uzmanı bulursa raporun bütünü gölgede kalır. Sınırlamayı açıkça yazan rapor ise güven kazanır ve sorgulamada ayakta durur. Sınırlamalar, yöntem bölümünün sonunda ayrı bir alt başlıkta toplanır.

Raporun hukuki sınırı, kimin için yazıldığına göre değişir. İç inceleme raporu kurum içindir ve kurumun sorularını yanıtlar. Bilirkişi raporu mahkeme ya da savcılık için yazılır. Bilirkişiyi yargı mercii atar ve çözümü özel ya da teknik bilgi isteyen soruları ona yöneltir.

CMK 67/3'e göre bilirkişi, uzmanlığını gerektiren konular dışında açıklama yapamaz ve hâkimin yapması gereken hukuki nitelendirmelerde bulunamaz. 6754 sayılı Bilirkişilik Kanunu'nun 3. maddesi aynı yasağı bütün bilirkişiler için tekrarlar. Suç niteliğini değerlendirmek hâkimin işidir, analistin değil.

Üçüncü tür bilimsel mütalaadır. CMK 67/6'ya göre Cumhuriyet savcısı, katılan, şüpheli ya da sanık ile bunların vekili ya da müdafii, olayla ya da bilirkişi raporuyla ilgili olarak bir uzmandan bilimsel mütalaa alabilir. Mütalaayı taraflardan biri ister, ama yazan uzmanın dili yine tarafsız kalır.

Üç türün ortak kuralı aynıdır: yalnız sorulan soruya cevap verirsin. Görev yazısı dc01'i sormuyorsa o konuda yorum yazmaz, gerekirse ek soru olarak bildirirsin. 6754'e göre bilirkişi görevini bizzat yapar ve başkasına devredemez.

Rapor kişisel veri taşır ve dağıtıldıkça risk büyür. Gerekmeyen kişisel veriyi çıkarır, kalanı maskelersin. Ekran görüntüsündeki özel yazışmayı karartır, kullanıcı adını gerekmiyorsa rolüyle yazarsın. Parola özeti, oturum jetonu ve API anahtarı gibi değerler rapor gövdesine girmez.

Dağıtım için FIRST'ün trafik ışığı protokolünü, yani TLP'yi kullanırsın. TLP 2.0 beş etiket tanımlar: TLP:RED, TLP:AMBER+STRICT, TLP:AMBER, TLP:GREEN ve TLP:CLEAR. fin-pc12 raporu TLP:AMBER+STRICT etiketiyle yalnız kurum içinde dolaşır.

Sınıflandırmada suç isnadı ve kanıtsız kesinlik dışarıda kaldı. Bilirkişi raporunda bu sınır daha da keskindir. Analist bulguyu, yöntemi ve sınırlamayı yazar.

Eylemin hangi suç tipine girdiğini, kimin kusurlu olduğunu ya da cezayı tartışmaz. Görev yazısında böyle bir soru yer alsa bile, soru hukukiyse cevabın mahkemeye ait olduğunu belirtirsin. Okunamayan dosyayı yazmak da aynı ilkenin parçasıdır: sınırı bilinen rapor, sınırı gizlenen rapordan güçlüdür.

Teslimden önce dört sık hatayı ararsın. Birincisi araç çıktısını yorumsuz yapıştırmaktır. Okur yüz satırlık bir tabloda neye bakacağını bilemez; her tablonun altına ne gösterdiğini bir iki cümleyle yazarsın. İkincisi kesinlikle, şüphesiz, açıkça gibi abartılı dildir.

Kesinliği kelime değil, kesinlik ölçeği taşır. Üçüncüsü suç niteliği yorumudur. Dördüncüsü raporu sessizce değiştirmektir. Teslimden sonra düzeltme gerekirse yeni sürüm üretir, değişikliği sürüm tablosuna yazar ve eski sürümü saklarsın.

[ ] Yönetici özeti tek sayfa, teknik terim yok, dört soruyu yanıtlıyor
[ ] Her bulgu cümlesi veri, kaynak ve zaman taşıyor
[ ] Her bulgunun kesinlik düzeyi yazılı
[ ] Yorumlar bulgulardan ayrı başlıkta
[ ] Araç adları, sürümleri ve tam komutlar ek dizininde
[ ] Ek dosyalarının SHA-256 özetleri dizinle tutuyor
[ ] Gereksiz kişisel veri çıkarıldı, kalanı maskelendi
[ ] Hukuki nitelendirme ve suç isnadı yok
[ ] TLP etiketi ve dağıtım listesi belirlendi
[ ] Sürüm tablosu güncel, ikinci analist okudu

Listeyi ikinci bir analist doldurur, çünkü yazan kişi kendi metnindeki boşluğu görmez. Teknik olmayan biri yönetici özetini anlıyor mu, teknik biri ekten yürüyüp aynı sonuca varabiliyor mu? İki cevap da evetse rapor hazırdır.

Son okumayı ertesi güne bırakırsın; yorgun gözle yazılan cümleler sabah başka görünür. PDF sürümü imzalanır, ham çıktılar ayrı bir arşivde özet değerleriyle teslim edilir. Teslim sırasında on dakikalık sözlü bir özet geçmek, belgenin okunma olasılığını artırır.